后量子密码学在邮件系统中的实战应用与迁移策略

随着量子计算机的快速发展，今天的密码学体系正面临前所未有的威胁。「储存今天，解密明天」攻击早就不仅假设，而且已经在发生。由美国国家安全局（NSA）及美国国家标准与技术研究所，NIST）的促促，后量子密码学（Post-Quantum Cryptography，PQC）迁移已从“未来问题”变成“今天任务”。

一、为什么电子邮件最靳遇量子威胁

与网络链接不同，电子邮件的安全由三个维度维持：本地存储、传输通道和邮件匙本。这三个层面都暴露在量子威胁之下：

• 本地消息库被盗，被压缩后通过量子计算救救破译：如果访问者今社区准入了电子邮件有人对电子邮件内容进行加密存储，可以通过孫公开钥匙破译后的方式通过量子计算救救破译，而不需要兜取加密文档
• 邮件传输通道的中间人攻击（MITM）被量子现场破译：一旦量子计算机可以读取公开钥匙，邮件传输通道的密钥交换可能被现地破译
• 密钥显示，不该相信的中间人仍可获得显示內容：电子邮件中对私钥的证书签名和加密的密钥对可能在当前安全，但仍是「储存今天，解密明天」攻击的目标

二、NIST 后量子密码学标准概览

经过六年的评估，NIST于2024年正式发布了第一批PQC标准FIPS 203、FIPS 204和FIPS 205：

此外，FIPS 206，Falcon）仍在制定中。美国国家安全局（CNSA 2.0）已安排2030年以前完成所有政府系统向PQC的迁移。

三、邮件系统中PQC的应用架构

对邮件系统而言，后量子密码学的应用主要需要覆盖以下三个需求：

1. 加密邮件列播的密钥封装：新的C KEM可以加密密钥对，以便在非对称密码学中使用，这是Kyber的主要负责
2. 邮件签名验证：S/MIME和PGP信仰中的RSA/ECDSA签名必须分别被Dilithium替代，同时邮件内容签名也要避免被量子计算机渗透
3. 木叙通信公开钥匙的传输与钥匙更新：三角形的密钥切换和教證机制都需要更新以支持EPQC，这係邮件中密钥分发的硬重量

四、混合密钥交换：迁移的实践路径

在完全迁移到PQC之前，设计质重商商系统不可能同时分发所有新钥匙。因此，混合密钥交换成为实東迁移的中来之舟。

原理:将传统的（EC)DH/X25519 与 PQC KEM相结合，使用同时运行两种的结果作为最终密钥，那么只要一种算法被破译，另一种仍然可保护密钥安全。

TLS模式:TLS 1.3 的混合密钥交换已被多个工程启状。例如：

• X25519+Kyber768（DHE_KEM）：已被谷歌在Chrome中配置
• ECDHE+Dilithium：提供以PQC提供数字签名的校验

邮件实施：邮件客